Open Banking Teil 3 | Was die alten Römer mit IT Security zu tun haben

Bereits die alten Römer haben ca. 100 v. Chr. Botschaften mittels Caesar-Verschlüsselung chiffriert. Ziel war es, besonders geheime Informationen nur für denjenigen lesbar zu machen, an den die Nachricht auch tatsächlich gerichtet war. Hierfür kannte der Empfänger eine beliebige Zahl (einen Schlüssel), die die Anzahl Stellen im Alphabet darstellte, um die jeder Buchstabe im verschlüsselten Text verschoben werden musste. Kannte man diesen Schlüssel nicht, so war die Entschlüsselung deutlich erschwert. Dieses Bedürfnis nach Verschlüsselung hält bis heute an.

In der modernen Welt werden täglich Unmengen an Daten über verschiedenste Schnittstellen transportiert. Betrachtet man die Bankenwelt, so kann man das aufstrebende Thema Open Banking als Beispiel dafür nehmen, dass auch immer mehr Daten aus der Bank hinaus an TPPs (Third Party Provider), oder gar an Drittbanken gelangen sollen. Besonders im Fokus sind schlanke APIs (Application Programming Interfaces), welche als leicht zu implementieren und kostengünstig gelten. Dem entgegen stehen APIs im Ruf, im Verhältnis zu lang etablierten Schnittstellen, Einbussen in Punkto Sicherheit in Kauf zu nehmen. Diesem Mythos möchte ich entgegentreten. 

Zunächst mal muss man verstehen, wie APIs aufgebaut sind. Nebst der SOAP-Technologie (Simple Object Access Protocol), wird im Kontext von Open Banking die weit verbreitete REST-Technologie (Representational State Transfer), oder auch RESTful APIs genannt, verwendet. REST beschreibt die grundlegenden Aspekte, welche die entsprechende Schnittstelle erfüllen muss. Ein zentraler Punkt bildet HTTP (Hypertext Transfer Protocol) und das in der Transportschicht verwendete TLS (Transport Layer Security). 

Beim Aufbau einer TLS-Verbindung werden Zertifikate und unterstützte Verfahren zwischen den Partnern ausgetauscht und darauf basierend eine Session aufgebaut. Diese Session kommt jedoch nur zu Stande, wenn die Vertrauenswürdigkeit durch das Zertifikat gewährleistet wurde. 

In einem ersten Schritt wird dem Server mitgeteilt, welcher Verschlüsselungs-Algorithmus verwendet werden soll. Anschliessend übergibt der Client dem Server ein Zertifikat, welches unter anderem einen Public-Key beinhaltet. Während der Public-Key im Besitz des Servers ist und zur Verschlüsselung der Daten dient, verfügt der Client über den dazugehörigen einmaligen Private-Key. Dieser ermöglicht die Entschlüsselung. Eine solche Verschlüsselungsmethode wird auch asymmetrische Verschlüsselung genannt, da verschlüsselte Informationen nur mittels Privat-Key und auch nur in eine Richtung entschlüsselt werden können. Eine Besonderheit hierbei ist, dass die asymmetrische Verschlüsselung nur für den Session Aufbau einer Verbindung zum Zuge kommt. Vereinfacht gesagt, werden sowohl vom Client, als auch vom Server, mittels Public-Key des jeweils anderen, zufällig generierte Zahlenfolgen verschickt. Sind beide Seiten im Besitz der zufällig generierten Zahlenfolgen, wird durch den Client ein Pre-Master-Secret asymmetrisch verschlüsselt an den Server übermittelt. 

Nach erfolgreicher Übermittlung können nun beide Seiten (Client und Server), unabhängig voneinander einen finalen Master-Secret berechnen. Dieser Master-Secret ergibt sich aus den beiden zufällig generierten Zahlenfolgen, sowie dem Pre-Master-Secret, welcher durch den Client an den Server übermittelt wurde. Beide Seiten müssen demnach alle zuvor übermittelten Daten während dem Session Aufbau besitzen. So kann die Authentizität beider Parteien sichergestellt werden. Ab diesem Zeitpunkt werden alle Daten innerhalb der aufgebauten Session symmetrisch mittels Master-Secret verschlüsselt. 

Was bedeutet das nun konkret für die Datensicherheit über APIs?

TLS gewährleistet nebst der Authentizität von Client und Server, auch die Datensicherheit aller Übertragungsmedien. Dies erfolgt durch eine asymmetrische Übergabe verschiedenster Schlüssel, aus denen wiederum ein finaler Schlüssel generiert wird. Ist man im Stande diesen finalen Schlüssel zu errechnen, so kann man mit hoher Sicherheit davon ausgehen, dass die aufgebaute Verbindung - Point to Point - privat unter Client und Server besteht. Technisch ist dann zwar möglich die Verbindung von aussen zu beeinflussen, bspw. zu kappen oder zu unterbrechen, lesen der Daten, oder sich als Client ausgeben ist jedoch nicht mehr möglich. 

Dieser Blog wurde von Julien Rösch gepostet.

Weiterlesen

Open Banking Teil 1 | Multibanking – Wie ist die Situation in der Schweiz und der EU?

Open Banking war eines der Trend-Themen der letzten Jahre. Wir erinnern uns an die Diskussionen rund um PSD2, API, Corporate API, b.Link und Multibanking. Open Banking wurde zum übergreifenden Thema, welches nicht nur die Grossbanken beschäftigte. Auch KBs und Banken wie Valiant oder Hypothekarbank Lenzburg sahen im Bereich Open Banking Potential, starteten Projekte und gingen mit neuen, innovativen Lösungen live. Im Jahr 2021 ist der Kampf um die Kundenschnittstelle in vollem Gange. In unserer Open Banking Reihe wollen wir das Thema reflektieren und nach vorne schauen, auf die Diskussionen die geführt wurden und die Themen die kommen werden. 

Viel Spass mit unserem Teil 1: Multibanking – Wie ist die Situation in der Schweiz und der EU? 

Der Begriff Multibanking hat in den vergangenen Jahren stark an Bedeutung gewonnen und ist auf die vermehrten Initiativen im Open Banking zurückzuführen. Zum einen gibt es mit der, im Oktober 2019, in Kraft getretenen PSD2 und der damit einhergehenden XS2A-API eine einheitliche Schnittstelle, mit der sich alle europäischen Banken und zertifizierten TPP vernetzen und neue Use Cases etablieren können. Die Schweizer Antwort darauf lautet b.Link und unterscheidet sich, obwohl auch hier APIs genutzt werden, stark von der EU-Variante. Im Vergleich dazu ist b.Link eine von SIX betriebene Open Banking Plattform, an der sich Banken und Third Party Provider (TPP) freiwillig vernetzen können, wobei in der EU die Bereitstellung einer XS2A-API bankenseitig verpflichtend ist. 

Open Banking vs. Multibanking 

Anders, als oft wahrgenommen, bedeuten die Begriffe weder das gleiche noch konkurrieren sie miteinander. Im Gegenteil: Während Open Banking die Öffnung der Banken gegenüber vertrauenswürdigen TPPs bedeutet, um neue Use Cases wie z.B. Zahlungsauslösung, Reporting, Bonitätsprüfung und die automatische Kategorisierung von Kontoumsätzen zu ermöglichen, ist Multibanking lediglich einer von vielen neuen Anwendungsfällen des Open Bankings. 

Multibanking in Deutschland vor PSD2 

Auch wenn der Begriff Multibanking durch PSD2 an Aufmerksamkeit gewonnen hat, ist die Thematik in Deutschland grundsätzlich nichts neues. Mittels dem FinTS Standard (früher HBCI), welcher vor über 20 Jahren eingeführt wurde, ist es möglich, dass Personen unterschiedliche Konten aus einer zentralen App/Software verwalten können. Der daraus resultierende Vorteil ist, dass nahezu jede deutsche Bank diesen Standard anbietet und diese Schnittstelle auch für Drittanbieter leicht zu nutzen ist. Der Nachteil ist, dass es sich um einen nationalen Standard handelt und somit ausländische Bankkonten nicht angebunden werden können. 

Während FinTS sowohl für Privat- als auch für Geschäftskunden attraktiv ist, ist EBICS in der Regel bei grösseren Firmenkunden vertreten. Das liegt vor allem an der aufwändigen Initialisierung. Dafür bietet EBICS allerdings besondere Features wie die verteilte elektronische Unterschrift (VEU). Um Multibanking über EBICS betreiben zu können, gibt es zwei unterschiedliche Möglichkeiten. Entweder bietet die Bank des Kunden ein EBICS-Portal an (z.B. UBS, Deutsche Bank, Commerzbank) oder der Kunde bindet seine Konten mittels EBICS Kanal an sein ERP-/TMS-System. Ein weiterer Vorteil von EBICS gegenüber FinTS ist die Erreichbarkeit internationaler Banken. Neben den bereits bestehenden EBICS-Ländern (Deutschland, Frankreich, Schweiz und Österreich) wächst das Interesse auch in weiteren Ländern Europas. Es gilt jedoch zu beachten, dass die Länder ihre eigenen EBICS-Dialekte sprechen, wodurch die Kommunikation (Datenaustausch) erschwert werden kann. Mit der Harmonisierung des Standards, durch die bereits 2018 verabschiedete Version 3.0, wird EBICS weiter an Attraktivität gewinnen können. Zusätzlich könnte eine Vereinfachung und Digitalisierung des Initialisierungsprozesses die Verbreitung von EBICS in weitere Länder und Kundengruppen stark beschleunigen. 

Aktuelle Lage mit PSD2 

Die XS2A-Schnittstelle ist nicht so eindeutig wie anfangs angenommen. Das bedeutet, dass zwar ein grobes Regelwerk vorgegeben wird, aber keine detaillierten technischen Spezifikationen innerhalb dieses Regelwerks festgelegt werden. Dadurch können die Schnittstellen unterschiedlich aufgebaut werden, was zu einem API-Wildwuchs geführt hat und der Vision einer Harmonisierung des europäischen Zahlungsverkehrs widerspricht. Durch die daraus resultierenden technischen Probleme wird der Datenaustausch sowie die Zusammenarbeit von Banken und TPP erschwert. Mittlerweile gibt es neben der Berlin Group, dem Marktführer in Deutschland und Österreich, einige weitere Schnittstellen von der Finanz Informatik, Feducia & GAD, Deutsche Bank, die ihre Marktprüfung bestanden haben und dadurch zuverlässig eingesetzt werden können. Von einer flächendeckenden Verbreitung kann zwei Jahre nach in Kraft treten der PSD2 also noch nicht gesprochen werden. Die letzten Entwicklungen geben Grund zur Hoffnung, dass man sich auf einem guten Weg befindet. 

Mit in Kraft treten der PSD2 wurde auch die zwei Faktor Authentifizierung (2FA) verpflichtend. Die hinzu gewonnene Sicherheit geht mit verlorener Usability einher. Konnten Nutzer zuvor noch all ihre, im Multibanking hinterlegten, Konten auf einmal aktualisieren, muss nun für jedes Konto zunächst der zweite Faktor eingegeben werden. Dieser kann zwar in der Regel für eine gewisse Zeit gespeichert werden, muss aber spätestens nach Ablauf der gesetzlich vorgegebenen Frist wieder aktualisiert werden. Die Zahlungsfreigabe von Drittbankkonten kann direkt aus der multibankingfähigen Applikation ausgelöst werden. Der zweite Faktor wird beispielsweise per smsTAN auf das Smartphone des Nutzers gesendet und anschliessend für die finale Freigabe eingegeben. Ein Wechsel zwischen verschiedenen Apps oder Programmen ist nicht notwendig. 

b.Link 

Auch bei der nationalen Open Banking Plattform b.Link geht es um mehr als «nur» den Versuch Multibanking innerhalb der Schweiz für die breite Masse zu etablieren. Teilnehmer an dieser Initiative sind, wie bei PSD2, Banken und verifizierte TPP. Die Teilnehmer können grundsätzlich die Rolle des Consumers oder des Providers einnehmen. In Bezug auf Multibanking haben die Rollen folgende Funktionen: 

Der Consumer erhält im Account Information Service (AIS) die Kontoreports von den Drittbanken (Provider) und kann diese dem Nutzer aufbereiten. Im Payment Submission Service (PSS) sendet der Consumer Zahlungsaufträge zulasten der Provider an die Drittbanken des Auftraggebers. Anschliessend muss sich der Auftraggeber bei seiner Drittbank im eBanking anmelden und den Zahlungsauftrag final freigeben. 

Grundsätzlich können Privat-, Geschäfts- & Firmenkunden das Angebot nutzen, vorausgesetzt, ihre Bank ist b.Link Teilnehmer. Nach aktuellem Stand sind für den Provider Case die UBS, CS und zukünftig auch die ZKB verfügbar. Welche Banken auch den Consumer Case anbieten werden, ist bisher noch nicht kommuniziert worden. 

Woran die zurückhaltende Teilnahme der Banken an b.Link liegen könnte und inwiefern sich EBICS und b.Link bzgl. Sicherheitsaspekten unterscheiden, wird in folgenden Artikeln behandelt. 

Dieser Blog wurde von Jonas Löhr gepostet

Weiterlesen

Digital Africa - ein Vorbild an Nachhaltigkeit und Startup-Spirit

Ist der Startup-Spirit von Afrika auch etwas für uns? PSD2 eröffnet nun vielen Lösungen den Zugang zu Bankkonten. Als Basis soll eine entsprechende Schnittstelle herhalten unter dem Begriff „API“. Wir berichteten.

Ist das Ganze aber nachhaltig? Verschiedene Schnittstellenbeschriebe kommen auf und wenn man nicht nur eine nationale, sondern eine internationale Lösung als PISP (Payment Initiation Service Provider) oder AISP (Account Information Service Provider) entwickeln möchte, ist man schnell von den unterschiedlichen „Standards“ überfordert. Wieviel Entwickler-Knowhow und -Schweiss muss dafür aufgewendet werden bis die Lösung entsprechend rund läuft?

Dass Afrika die digitale Welt für sich entdeckt hat, ist nichts Neues. Seit über 10 Jahren gibt es bereits M-Pesa, das Bezahlen per Handy in Afrika. Kein Wunder, da es in vielen Gegenden keine Bank gibt, geschweige denn einen Bankomaten.

Schön und gut, aber „Digital Africa“ ist heute viel mehr als vor zehn Jahren. Dies zeigt eindrücklich eine Fernsehproduktion, welche viral viel Umtrieb gemacht hat und von vielen Sendern ausgestrahlt wurde. Die vollständige Sendung kann hier eingesehen werden.

„Digital Africa“ präsentiert sich inzwischen mit vielen Startups, die eng verwoben sind mit den lokalen Problemen und versuchen, mit den wenigen vorhandenen Mitteln eine Lösung dafür zu finden. Häufig sind diese in Ballungszentren in gewissen Hubs vernetzt.

Die Liste der Lösungen ist endlos. Angefangen mit einem Beobachternetzwerk als Prävention von Gewalttaten, einem Gaszähler, der auf „geliehenen“ Gasflaschen aufgesetzt werden kann und per Handy Mikrobeträge bezahlt werden können, um sich zum Beispiel nur am Morgen eine Tasse Tee zu kochen, freies Internet in inzwischen rund 300 Bussen, über einen Bestellservice für Motorradtaxis, welche bei der allgemein hohen Unfallrate im Land den jeweiligen Fahrer anhand seines Fahrstils bewerten und die Fahrt somit sicherer wird bis zu mobilen, solarbetriebenen Ladestationen, wenn in manchen Regionen manchmal tagelang kein Strom verfügbar ist.

Gemeinsam haben all diese Lösungen, dass sie aus dem wenigen Vorhandenen etwas machen. Auch die Bildung wird unterstützt, da sehr häufig keine Unterrichtsmaterialien zur Verfügung stehen. So gibt es 300 mobile Koffer mit bis zu 30 Tablets, die einen Unterrichtstag lang ohne Strom und Internet entsprechende Inhalte beibringen können.

Eine andere Lösung bietet für 11 EUR einen physikalischen Experimentierkasten mit wenigen LEDs, Kondensatoren, Widerständen und einer Batterie, um Elektroingenieurswissen zu vermitteln, welches so wichtig ist, um voranzukommen. Ziel dieser Lösung ist beispielsweise, dass jeder Schüler irgendwann ein solches Experimentierset hat, um auf dem Schulhof, zu Hause oder eben im Unterricht damit experimentieren zu können.

Wenn keine Bildung vorhanden ist, gibt es für Bauern einen Sprachservice, der Aussaat- und Düngerempfehlungen sowie Wettervorhersagen in bis zu neun lokalen Landessprachen mitteilt. So können diese Services genutzt werden, selbst wenn der Nutzer gar nicht lesen kann.

Die Nachhaltigkeit wird unter anderem gewährleistet, weil viele ausrangierte Teile wiederverwendet werden. So produziert ein Afrikaner durchschnittlich sechs Kilogramm Elektronikschrott pro Jahr. Ein Europäer bringt es in derselben Zeit auf gut das Achtfache.

Ein extremer Entwicklungsschub wird zudem durch die Nachhaltigkeit erreicht: In den 80er Jahren haben wir gelernt, dass viele Entwicklungsprojekte in Dritt-Welt-Ländern gescheitert sind, weil beispielsweise ein Gummischlauch für eine Kochgelegenheit nicht von den Bewohnern selbst hergestellt werden konnte, um wieder Gas für die Feuerstelle zu haben.

Heutzutage werden Motoren von ausrangierten Druckern verwendet, um 3D-Drucker zu bauen. Sehr häufig werden Teile für neue 3D-Drucker mit den 3D-Druckern selbst hergestellt. Man ist also nicht mehr (so stark) abhängig von einer Entwicklungshilfe und von Ersatzteillieferungen.

Die 3D-Drucker können aber auch noch mehr. Sehr häufig helfen sie Krankenhäusern, in welchen viele Dinge fehlen. So können beispielsweise Nabelschnurklemmen mit 3D-Drucker günstig hergestellt werden.

Wie konnte sich aber das „Digital Africa“ so gut entwickeln? Ein grosser Aufschwung begann 2008, als Ostafrika an internationale Unterseekabelnetze angeschlossen wurde. Andererseits hat die Technologieentwicklung auch stark dazu beigetragen. So wären viele Entwicklungen nicht ohne den 3D-Druck möglich gewesen.

Die Regierung spricht keine flächendeckende Unterstützung an Startups, aber sie baut Institutionen auf, die als Anlaufstelle dienen können und den Wissensaustausch sicherstellen.

So gehen rund 90% der entsprechenden Gelder an NGOs, wodurch die lokalen Startups, zumindest finanziell gesehen, leer ausgehen.

Die Gründerszene lässt sich dadurch aber nicht abschrecken: Viele werden selbst aktiv und warten nicht auf die Regierung. Der Wille, die Energie und die Technologie sind da. Kann damit also bald der Durchbruch erreicht werden?

Es lohnt sich auf alle Fälle in entsprechende Lösungen zu investieren.

Viele Lösungen bauen auch auf Blockchain als letzte technologische Neuerung. So gibt es Möglichkeiten, Krankenakten elektronisch und blockchain-basiert zu führen. Das ermöglicht der breiten Masse einen leichten Zugang zu Ärzten und denen jederzeitigen Zugriff auf die entsprechenden Informationen.

Was können wir aber für unser Tagesgeschäft mitnehmen? 

Derzeit tanzen wir den Eiertanz der Use Cases: Open API oder welche (wenigen) Funktionen sollen dazugenommen werden? Ergebnis: Keine so berauschenden Plattformen. Sollten wir nicht eher den Startup-Flair von Afrika aufnehmen und nachhaltige Lösungen entwickeln, bei denen Macher-Haltung und Zusammenhalt im Vordergrund steht?

Dieser Blog wurde von Frank Rebmann verfasst.

#MobilePayment #Blockchain #OpenBanking #OpenAPI

Weiterlesen

Open Banking – Die verborgene Chance in Kombination mit Machine Learning

Open Banking ist in aller Munde. Chancen und Risiken werden in den entsprechenden Business Netzwerken wild diskutiert und Schlagwörter wie PSD2, Open API, Datenschutz und BigData gehören auf jeder Veranstaltung zum Thema Banking nahezu schon zum guten Ton. So fokussierte sich auch die ZHAW am 4. Juni im Rahmen ihrer Vortragsreihe «Finance Circle» auf das Thema «Open Banking». Bekannte Namen aus dem Banking- und FinTech Sektor waren geladen, um über ihre Vorstellungen zum Open Banking zu sprechen. Darunter unter anderem Gian Reto à Porta von Contovista (wir berichteten) oder auch André Renfer von der Hypothekarbank Lenzburg.

Basierend auf den Ideen und den Gedanken vom Finance Circle möchten wir in diesem Blog weiterschauen und das Konzept Open Banking mit dem Phänomen Machine Learning verbinden. Eine Kombination, von der vor allem die grossen Player am Markt – die "Tech Giants" wie Google, Facebook, Amazon und Alibaba – profitieren könnten.

Open Banking und Machine Learning
Schauen wir zuerst einmal Open Banking und Machine Learning an sich an. Open Banking ermöglicht Drittanbietern, sogenannten Third Party Provider, direkten oder indirekten Zugriff auf die Kontoinformationen der Bankkunden. Diese Daten können nun mit weiteren Informationen aus den sozialen Netzwerken, Suchmustern oder Standortdaten angereichert werden – wodurch ein umfassender Datenkatalog erstellt werden kann. Machine Learning beschreibt eine Software, die darauf ausgelegt ist, Muster in einem Datenpool zu entdecken. Im Unterschied zur Robotic Automatisation wird beim Machine Learning die Software so konzipiert, dass sie durch ihre Fehler "lernt" und die Muster verfeinert, während Robotic Automatisation an konstanten Regeln festhält.

Um dies zu veranschaulichen, bringen wir an dieser Stelle das beliebte "Katzenbeispiel". In diesem Fall soll ein Programm entscheiden, ob sich auf einem Foto eine Katze befindet oder nicht. Wir legen also ein grosses Datenset mit Bildern an. Alle Bilder auf denen eine Katze abgebildet ist, versehen wir mit dem Merkmal «Katze» und alle auf denen keine Katze abgebildet ist, versehen wir mit dem Merkmal «keine Katze». Nun speisen wir dieses Datenset in das Modell ein. Die Software errechnet nun bei jedem einzelnen Bild mit einer Wahrscheinlichkeitsangabe, ob auf dem Bild eine Katze abgebildet ist oder nicht. Bei jedem Fehler und bei jedem Erfolg passt sich die Software an, sodass beim nächsten Mal kein Fehler mehr gemacht wird. Je grösser das Dataset also ist, desto korrekter kann die Software dementsprechend auch arbeiten.

Wie spielen Open Banking und Machine Learning zusammen
Sobald Machine Learning dazu eingesetzt wird nicht Katzenbilder zu identifizieren, sondern Verhaltensmuster in Kundendaten zu entdecken, werden ganz neue Business Cases deutlich. Je mehr Daten hierfür als Grundlage genommen werden können, umso besser können die Muster analysiert werden.

• Mit Machine Learning im Finanzsektor können beispielsweise Nutzer identifiziert werden, die besonders am Kauf einer Kreditkarte interessiert sind.
• Darüber hinaus kann aufgrund des analysierten Lebensstils, in Kombination mit der finanziellen Lage, ein sich dynamisch anpassendes Anlageportfolio zusammengestellt werden.
• Auch die Aufstellung verschiedener «Nutzertypen» kann dabei helfen den Kunden spezifische Angebote zu machen. 

Tech Giants in profitabler Position
In Kombination mit Open Banking könnten «Tech Giants» als Third Party Providers auftreten und bankübergreifende Daten sammeln. Diese Daten geben, angereichert mit den Daten aus deren anderen Kanälen (Email-Service, Standortdaten, Suchbegriffe, Surfverhalten), ein weitaus umfassenderes Bild als es die Banken selbst zeichnen könnten. Langfristig können so Google, Facebook und Co. zur ersten Anlaufstelle für finanzielle Fragen werden, während Banken im Retail Business selber in den Hintergrund geraten. Es sind sich alle einig, dass Open Banking ein grosser Mehrwert für den Nutzer darstellen würde.

Wie die Tech Giganten auf Open Banking reagieren werden ist bisher noch unklar. Sicher ist: Es bleibt spannend zu verfolgen, welche Business Cases sich aus der Kombination von Open Banking und Machine Learning in Zukunft ergeben werden.


Dieser Blog wurde gepostet von Jonathan Farner

#AI #DigitalBanking #MachineLearning #FinTech #OpenBanking #PSD2 #APIs

Weiterlesen

NextGenPSD2

Im Juni 2017 kündigte die NextGenPSD2-Initiative, eine dedizierte Task Force der Berlin Group, die Entwicklung einer offenen, gemeinsamen, harmonisierten europäischen Programmierschnittstelle (open, common and harmonised European API) an, um Drittanbietern (TPPs) den Zugang zu den Bankkonten (XS2A), basierend auf der neuen Zahlungsdiensterichtlinie PSD2, zu ermöglichen. Ziel der Initiative ist es, Drittanbieter bei der Entwicklung von innovativen auf modernen APIs basierenden Lösungen so zu unterstützen, dass der Zugang zu den Bankkonten gewährleistet wird, die Daten jedoch gesichert sind.

NextGenPSD2 will 

- die Komplexität von PSD2 XS2A reduzieren

- die Problematik der verschiedenen, sich konkurrierenden Standards adressieren

- eine maximale europaweite Interoperabilität und Erreichbarkeit ermöglichen,

indem sie einen einheitlichen Standard für eine europäische XS2A Schnittstelle zwischen den Banken und den Drittanbietern definiert.

Europäische Bankkunden könnten so von innovativen Produkten und Dienstleistungen (“Banking as a Service“) von Drittanbietern profitieren. Die Kunden gewähren den Drittanbietern mittels der APIs den sicheren Zugang zu ihren Bankkonten und Finanzdaten und erfahren so gleichzeitig auch ein neues reibungsloses Kundenerlebnis.

Der Standard, welcher als “Access to Account Framework“ entwickelt werden soll, wird Betriebsregeln, Implementation Guidelines, Nachrichtenmodellierung und Informationsflüsse, basierend auf der RESTful API Methode, einer Methode zur webbasierten Kommunikation zwischen Client und Server, anbieten.

Sowohl Private wie auch Firmen benutzen immer häufiger APIs (Programmierschnittstellen), um Daten zu teilen und zu konsolidieren. Dies führte dazu, dass APIs ein DeFacto Industriestandard wurden. Und jetzt, da die europäische Finanzindustrie unter PSD2 den Zugang zu den Kontoinformationen öffnen muss, sind gemeinsame APIs der sicherste und effizienteste Weg, um Daten sicher zur Verfügung zu stellen und dem Problem der sich konkurrierenden Standards zu begegnen.

Aus diesen Gründen stimmt sich auch die NextGenPSD2-Initiative mit den Zielen des Euro Retail Payments Board (ERPB, das von der Europäischen Zentralbank geleitete Nachfolgegremium des SEPA-Councils) ab.

Um sicher zu gehen, dass die Interessen aller Akteure abgedeckt sind, wurde der Standard, welcher immer noch in Entwicklung ist, am 27. September für die öffentliche Konsultation freigegeben. Mit dieser öffentlichen und transparenten Konsultation sollen alle Marktteilnehmer die Möglichkeit haben, an der Entwicklung eines ausgereiften Standards mitzuwirken, welcher sowohl die Marktbedürfnisse als auch anwendbares Recht und Regulationen berücksichtigt.

Der NextGenPSD2 - Standard ist seit dem 2. Oktober auf der Berlin Group Seite www.berlin-group.org/market-consultations verfügbar. Die öffentliche Konsultation endet am Freitag, 17. November 2017. Alle Beiträge werden im Anschluss an die Konsultation publiziert.

Wer ist NextGenPSD2?

Die Mitglieder der NextGenPSD2-Initiative arbeiten in einer einzigartigen Partnerschaft an der gemeinsamen Vision, in der offene und harmonisierte PSD2-XS2A-Schnittstellenstandards für Prozesse, Daten und Infrastruktur eine unabdingbare Notwendigkeit für einen offenen und leistungsfähigen Markt sind. Wahre Interoperabilität ist eine essentielle Komponente kompetitiver pan-europäischer PSD2-XS2A-Dienstleistungen, welche dazu beitragen, dass der Europäische Markt weiter zusammenwächst. Und davon profitieren letztlich die Zahlungsverkehrsbranche, wie auch Privat- und Firmenkunden. 

NextGenPSD2 setzt sich aus 39 Organisationen, Stand 3. Oktober 2017, aus EU - und Nicht-EU- Mitgliedstaaten aus den verschiedensten Bereichen des Bankings und des Zahlungsverkehrs zusammen. Auch SIX Payment Services zählt zu den Mitgliedern der NextGenPSD2 - Initiative.

Wichtig zu erwähnen ist auch, dass NextGenPSD2 weder an eine spezifische Bank(engemeinschaft) noch an einen spezifischen Dienstleister gebunden ist.

Was bedeutet NextGenPSD2 für die Schweiz?

Obwohl SIX Payment Services ein Mitglied der NextGenPSD2 - Initiative ist, konnte der Schreibende keine konkreten Aussagen bezüglich deren Beitrag an der Initiative finden bzw. welche Rolle für NextGenPSD2 auf dem Schweizer Finanzplatz vorgesehen ist.

Seitens SIX wird immer noch davon ausgegangen, dass PSD2 XS2A aufgrund der fehlenden gesetzlichen Rahmenbedingungen keine einheitliche und harmonisierte Würdigung erfahren soll/wird.

Andererseits ist SIX auch Mitglied von SFTI, Swiss Fintech Innovations (http://swissfintechinnovations.ch/). SFTI befasst sich mit einer Arbeitsgruppe an der Definition und Entwicklung von SOFA (Swiss Open Finance API), einer offenen, gemeinsamen Banken- und Finanz-Programmierschnittstelle.

Es stellt sich die Frage, ob es einen Austausch zwischen der NextGenPSD2 - Initiative und SFTI gibt, um den Standard für das Schweizer API an den europäischen Standard anzugleichen.

Leider erfolgte darauf bis zum Zeitpunkt der Erstellung dieser Zeilen keine Antwort.

Die Stellungnahme der Schweizerischen Bankenvereinigung (http://www.swissbanking.org/de/themen/aktuell/20170707-5000-all-positionspapier-psd2.pdf) geht sogar noch weiter und lehnt eine Regulierung analog zu PSD2 bzw. eine gesetzlich erzwungene Öffnung der Zugriffsrechte für Dritte gänzlich ab.

Aus unserer Sicht wäre es wünschenswert, wenn der Schweizer Finanzplatz in Kürze eine verbindliche Zusage zu PSD2 XS2A machen und sich der diesbezügliche Standard am europäischen Standard von NextGenPSD2 orientieren würde.

Dieser Beitrag wurde von René Heusser gepostet.

#APIs, #DigitalBanking, #OpenBanking, #PSD2, #XS2A

Weiterlesen

Aktuelles aus dem europäischen Umfeld

Mitte September trafen sich die Mitglieder der EPCA (European Payments Consulting Association), in welcher PPI Schweiz ebenfalls Mitglied ist, ein weiteres Mal zum informellen Austausch. Ziele dieser Treffen sind die gegenseitige Information über die aktuelle Entwicklung in den einzelnen Ländern sowie Diskussionen über spezifische Themen. Als Standort für das Treffen wurde, anlässlich der neuen PPI-Geschäftsstelle, Genf gewählt. Für weitere Informationen zu ECPA besuchen Sie deren neue Web-Seite unter www.epca.de.

PSD2

Das Dauerthema PSD2 stand auch diesmal wieder auf der Agenda. Sämtliche Teilnehmer bestätigen, dass dieses Thema auch in ihren Ländern kontrovers diskutiert wird. Einerseits sind die Banken nicht gewillt, ihre Daten für weitere Dienstleister zu öffnen, andererseits aber soll verhindert werden, dass europäische Gesetze verletzt werden und dadurch möglicherweise Sanktionen ergriffen werden könnten.

Der Wunsch vieler Betroffenen, also Banken sowie Software-Hersteller (Fin-Techs), nach einem einheitlichen, europäischen Standard-API wird sich wohl kaum erfüllen. Die Berlin Group, dessen Teilnehmerliste inzwischen  37 europäische Institute umfasst (Stand September 2017), hat noch immer keine konkrete Spezifikation veröffentlicht. Inzwischen aber hat STET (France), ebenfalls Mitglied der Berlin Group, eine solche bekannt gegeben. Es wird interessant sein zu beobachten, welche Akzeptanz diese im Markt finden wird.

AML

Interessantes gibt es seitens der AML (Anti Money Laundering) -Direktiven zu berichten. Während die Version 4 verabschiedet wurde und nun umgesetzt wird, ist bereits die Version 5 im Vernehmlassungsprozess. Im Markt wird nun etwas frustriert festgestellt, dass die Behörden neue Versionen schneller beschliessen, als diese technisch umgesetzt werden können. Laufend werden weitere Zahlinstrumente von diesen Regulatorien erfasst, sodass die Akteure laufend nachrüsten müssen. Zudem ist eine Diskussion entstanden, was genau als e-Money zu gelten hat und welche Vorschriften diesbezüglich zu gelten haben. Im Grundsatz aber ist erkennbar, dass sich die Behörden eine Cashless-Society als Zielbild vorstellen. Wenn auch noble Gründe dafür sprechen (Verhinderung von Geldwäsche und Terror-Finanzierung), ist einem nicht wirklich wohl bei dem Gedanken, dass in Zukunft sämtliche Geldströme von den Regierungen überwacht werden sollen.

Cashless Society

Andererseits sind wir in gewissen Ländern schon sehr nah an der Cashless-Society. Die Pflicht zur Bargeldannahme schwindet mehr und mehr. Inzwischen gibt es schon einige Situationen, in welchen nicht mehr mit Bargeld bezahlt werden kann. Beispiele sind Tankstellen, welche rund um die Uhr geöffnet haben und zwischen 22:00 und 6:00 Uhr nur Kartenzahlungen akzeptieren, damit keine Bargeldbestände gehortet werden müssen. Der Grund hierfür ist im Wesentlichen der Schutz der Angestellten. Ähnliches hat der Schreibende kürzlich in Kanada erlebt, als er im Hotel bar bezahlen wollte; auch hier nur mit Karte bitte.

Aktuelle Statistiken aus den nordischen Ländern belegen, dass tatsächlich die Cashless-Society schon sehr nahe ist, insbesondere Schweden ist diesbezüglich eindeutig an erster Stelle. In die gleiche Richtung geht auch die Abschaffung der EUR-500-Note. Von dieser sind knapp 600 Millionen (Wert EUR 300 Milliarden) im Umlauf, welche ab 2018 nicht mehr neu ausgegeben und stetig reduziert werden soll. Die Schweiz bildet in diesem Bereich eine grosse Ausnahme. Die Abschaffung der CHF-1000-Note ist kein Thema, mehr als 45 Millionen (im Wert über 45 Milliarden) bleiben im Umlauf. Interessant ist der Vergleich dieser grössten Noten bezüglich Wertanteil. Während im EUR-Raum die EUR-500-Note knapp 28% der gesamten Bargeldmenge ausmacht, beträgt der Anteil CHF-1000-er Note über 62%. Da diese Noten nur selten im normalen Bargeldverkehr zum Einsatz kommen, wird offenbar eine sehr grosse Menge an Vermögen in Form von Bargeld gehortet.

Bitcoin

Das Thema musste ja kommen, kein Blog ohne das Thema Bitcoin. Was also gibts es Neues zu diesem Thema?

Am 1. August 2017 wurde eine neue Kryptowährung ins Leben gerufen, Bitcoin Cash.

Die Entstehung ist tatsächlich interessant, sie wurde nämlich durch eine Abspaltung des originalen Bitcoin errichtet, was bedeutet, dass Besitzer von Bitcoin nun auch die gleiche Anzahl in Bitcoin Cash erhalten haben (sofern sie ein Wallet haben, welches dies unterstützt). Welche Auswirkung das nun auf dem Markt hervorbringt, ist nicht klar ersichtlich. Es gibt nun also Bitcoin (Währungskürzel BTC) und Bitcoin Cash (Währungskürzel BCC oder BCH). Details siehe auch auf Wikipedia.

Übrigens, gerade in dieser Woche ist der BTC um fast 30% gefallen auf USD 3192. Der Bitcoin-Experte der EPCA, nicht identisch mit dem Schreibenden, prognostiziert einen Stand von USD 5000 zum Ende des Jahres.

Steigen Sie ein?

Diese und weitere Themen wurden auch während dem kulinarischen Rahmenprogramm ausführlich diskutiert (und die meisten Probleme auch gleich gelöst…). Abgerundet wurde das Programm mit einer interessanten

Führung durch die Calvin-Stadt.

Dieser Beitrag wurde von Rolf Zumsteg gepostet.

#PSD2, #Cashless, #Bitcoin, #EPCA

Weiterlesen

Gastbeitrag: Übergreifendes Kundenerlebnis mit Digital Banking Plattformen

In einer Zeit, in der die Kundenerwartung „anything, anytime and anywhere“ lautet, müssen Banken ihre Services auf vielen Kanälen anbieten. Eine Möglichkeit dafür sind Digital Banking Plattformen. Die PPI AG hat sich in einer Studie ausführlich mit den Anbietern und deren unterstützten Features auseinandergesetzt.

Digital Banking Plattformen unterstützen die veränderten Kundenanforderungen. Die PPI AG hat sich in einer Studie ausführlich mit deren Anbietern und den Features beschäftigt.

Die fortschreitende Digitalisierung in allen Lebensbereichen ändert das Kundenverhalten in rasender Geschwindigkeit – und damit auch die Ansprüche an Banken. Die Zukunft wird von selbstbewussten Kunden bestimmt, die auf zahlreichen Kommunikationskanälen unabhängig von Servicezeiten agieren. Gleichzeitig ändert sich das Marktumfeld. Neue Services werden von Wettbewerbern und Fintechs in immer kürzeren Zyklen auf den Markt gebracht. Um dort Schritt halten zu können, müssen leistungsfähige Systeme zum Einsatz kommen. Digitale Banking Plattformen bieten Finanzdienstleistern eine gute Möglichkeit, sich zukunftsfähig zu positionieren.

Eine solche Plattform ist ein modernes Portal, auf dem der Kunde seine Bankgeschäfte geräteunabhängig und kanalübergreifend abwickeln kann. Darüber hinaus werden verschiedenste fachliche Features bereitgestellt (z.B. Co-Browsing, Videochat, Advisory, Brokerage, etc.). Nichtsdestotrotz ist die Plattform dank moderner Schnittstellen (APIs) offen für die Einbindung innovativer Fintech-Lösungen und Eigenentwicklungen der Banken. Viele Services werden bereits von Drittanbietern bereitgestellt und in die Plattformen eingebunden. Ändern sich die Anforderungen, sorgen diese Schnittstellen dafür, dass die Lösungen schnell angepasst werden können. Die nachfolgende Grafik veranschaulicht das Zusammenspiel zwischen der Digital Banking Plattform, dem Kunden-Frontend sowie den angebundenen Bankanwendungen und Fintech-Lösungen.

Modernes Schnittstellen-Banking

Über eine Digital Banking Plattform kann die Bank Services wie Brokerage oder Advisory integrieren und über die gewünschten Endgeräte dem Kunden anbieten. Die Einbindung von Chat, Multibanking und co erfolgt über Schnittstellen (APIs).

"Digital Banking Plattformen verbinden über Schnittstellen die Services der Banken und Fintech-Anbieter  mit den verschiedenen Endgeräten."

Digital Banking Plattformen: Die Qual der Wahl
Daher haben wir uns in einer Studie ausführlich mit den Möglichkeiten und Anbietern dieser Plattformen auseinandergesetzt. In der Marktanalyse haben wir sieben Hersteller moderner Digital Banking Plattformen im deutschsprachigen Raum untersucht. Diese repräsentieren nach Einschätzung von PPI einen relevanten Teil des deutschen Marktes. Eigenentwicklungen der Banken und Lösungen aus Rechenzentren bleiben in dieser Untersuchung unberücksichtigt.

Übergreifend ist festzustellen, dass alle untersuchten Anbieter Lösungen für wichtige digitale Zukunftsthemen an der Schnittstelle zwischen Bank und Kunde bereitstellen und in diese investieren. Die angebotenen Lösungen liegen mehrheitlich deutlich über dem aktuellen Marktstandard genutzter Plattformen. Derzeit fokussieren sich Banken in Deutschland vor allem auf die Anzeige von Daten, weniger auf die endgeräteunabhängige Interaktion mit dem Kunden.

Bausteine für ein zeitgemäßes Kundenerlebnis
Mit einzelnen digitalen Modulen innerhalb der Plattform unterstützen die Softwarehersteller die Banken dabei, dem Endkunden entlang der Customer Journey ein zeitgemäßes Kundenerlebnis zu liefern. So entsteht im besten Fall ein Omni-Kanal-Erlebnis, bei dem Banken und Kunden kanalübergreifend miteinander in Kontakt treten. Auch wenn alle in der Studie untersuchten Softwareanbieter auf die Ansprüche des digitalen Bankkunden vorbereitet sind, so werden im Detail doch Unterschiede sichtbar. Ein Kernnutzen des Bankings aus Kundensicht ist es, von unterwegs Konten einsehen und Transaktionen schnell durchführen zu können. Ein Trend zeigt sich darin, dass die klassische Übersichtsseite eines Online-Bankings um Widgets ergänzt oder sogar durch diese ersetzt wird und sich somit eine neue Übersichtsform ergibt. Kunden können so ein individuelles Cockpit gemäß ihrer Präferenzen zusammenstellen.

Multibanking-Funktionalitäten

Alle befragten Hersteller bieten eine Multibanking-Funktionalität an. Viele unterstützen neben Kontoinformationen auch Zahlungsauslösungsdienste zu Drittbankkonten. FinTS ist die am häufigsten eingesetzte Technologie dafür.

"Übersicht der Multibanking-Funktionen von Digital-Banking-Plattformen und angewandten Integrationsverfahren dafür."

Doch nicht nur bei Widgets zur Kontoübersicht zeigt sich, dass die Plattformen den Banken viel Raum zur Individualisierung für ihre Kunden geben. Individualisierung und Personalisierung liegen in vielen Bereichen im Trend, Technologien passen sich dem Anwender an und sind ideal auf ihn zugeschnitten. Daran hat sich der Kunde bereits gewöhnt und erwartet dies nicht nur von seinem Amazon-, Facebook- oder Google-Konto, sondern ebenso von seinem Online-Banking-Portal. Ein Baustein, um dieser Erwartungshaltung im Retail-Banking gerecht zu werden, ist personalisierte Online-Beratung mittels Robo-Advisory. Die Mehrheit der untersuchten Hersteller ermöglicht es, automatisierte Empfehlungen von Produkten und Dienstleistungen auf Grundlage der persönlichen Situation des Bankkunden zu generieren und darzustellen, oder investiert in die Entwicklung dieser Funktionen. Die Möglichkeit, einen Berater via Videochat oder Co-Browsing zuzuschalten, ist bei nahezu allen Anbietern vorhanden.

Kommunikation und Interaktion mit dem Bankkunden

Die Mehrheit der Softwarehersteller bietet den Banken Video-Chat und Co-Browsing zur Interaktion mit ihren Kunden – oftmals über Drittanbieter. Auch Text-Chats sind weit verbreitet.

"Übersicht über Kommunikationswege des Kunden mit seiner Bank – etwa durch Chat oder Co-Browsing."

Kontoeröffnung – komplett digital
Die digitale Customer Journey beginnt lange vor der ersten Vertragsunterschrift. Geldinstitute wollen dem (Neu-)Kunden den Einstieg so einfach wie möglich machen – und ihm die gewohnten digitalen Kanäle bereitstellen. Nahezu alle untersuchten Software-Hersteller unterstützen bereits digitale End-to-End-Kontoeröffnungsstrecken für zahlreiche Produkte, sowohl für Neu- als auch für Bestandskunden. Die dafür benötigten Funktionalitäten der Video-Identifizierung und der digitalen Signatur werden oft über integrierte Drittanbieter bereitgestellt.

Kunden werden nicht nur in der Wahl ihrer Kanäle selbstbestimmter, sondern auch in der Art ihrer Kommunikation. Die Hersteller ermöglichen dem Endkunden entlang der Customer Journey ein zeitgemäßes Kundenerlebnis durch Integration von Text- und Videochats. Daneben werden auch Chatbots zunehmend integriert. Auch Co-Browsing wird immer mehr zum Standard. So können Berater und Kunde gleichzeitig über eine Seite navigieren und Ergebnisse anschauen. Das digitale Kundenerlebnis kann von den Software-Herstellern jedoch nur vorbereitet werden und hängt letztendlich maßgeblich davon ab, ob die Backends der Banken dies ebenfalls unterstützen.

Hier kann auf den Einsatz von Softwarerobotern zurückgegriffen werden. Diese eröffnen die Vorteile der Prozessautomatisierung ohne teure und tiefgreifende Lösungen. Die Roboter bilden dabei häufig wiederkehrende und gleichbleibende menschliche Aktivitäten an Bildschirm und Tastatur nach. So lässt sich dann eine digitale End-to-end-Kontoeröffnungsstrecke auch in komplexen Infrastrukturen mit vielen systemischen Brüchen schnell und günstig realisieren. Mehr Informationen zu dem sogenannten Robotic Process Automation (RPA) liefert Dirk Dose von PPI in einem weiteren Blogbeitrag.

Wie geht es weiter?
Allen Kreditinstituten ist die Notwendigkeit eines durchdachten digitalen Angebots bewusst. Doch das konkrete Vorgehen bei der Umsetzung ist nicht immer einfach. Denn Banken, welche die digitale Transformation ihres Kerngeschäftes forcieren, stehen zunächst vor der Entscheidung, ob sie ihre eigenen IT-Lösungen erweitern, neue Lösungen entwickeln oder auf die Software eines Drittanbieters zurückgreifen. Die Eigenentwicklung ist für Banken mit einer gewachsenen IT-Infrastruktur sehr kosten-, ressourcen- und vor allem zeitintensiv. Somit macht es für viele Institute Sinn, sich im Rahmen eines Entscheidungsprozesses auch mit externen Software-Lösungen zu befassen um eine schnelle Marktfähigkeit sicherzustellen.


Zu den Autoren:

Guido Köhler ist Principal bei der auf Banken und Versicherungen spezialisierten Unternehmensberatung PPI AG. Als Experte im Digital Banking berät er Banken seit Jahren vertrauensvoll bei der digitalen Transformation ihrer Vertriebs- und Serviceprozesse. Er beobachtet im Bereich der digitalen Kanäle aktuelle Entwicklungen am Markt, ist Autor mehrerer Studien sowie Fachartikel und verantwortet bei der PPI AG im Bereich Digitale Kanäle die Themenentwicklung.
https://www.xing.com/profile/Guido_Koehler2 

Timo Scharff ist Consultant bei der auf Banken und Versicherungen spezialisierten Unternehmensberatung PPI AG. Er ist Experte im Bereich „Digital Banking“ und unterstützt Banken bei der Konzeption sowie Umsetzung digitaler Service. Er kennt das Marktumfeld und ist Mitautor der Studie „Digitale Banking Plattformen“.
https://www.xing.com/profile/Timo_Scharff

Florian Hartmann ist Consultant bei der auf Banken und Versicherungen spezialisierten Unternehmensberatung PPI. Als Experte im Digital Banking berät er Banken bei der Konzeption und Weiterentwicklung digitaler Service und Transaktions-Plattformen. Er ist Mitautor der Studie „Digitale Banking Plattformen“ und beobachtet das Marktgeschehen rund um digitale Banking-Lösungen.
https://www.xing.to/Florian_Hartmann



Zur Studie:
Für die Studie „Digitale Banking Plattformen – Modernes Banking gestalten“ wurden sieben Hersteller entsprechender Plattformen mit einem umfangreichen Fragenkatalog befragt. Die Ergebnisse zeigen Unterschiede und Trends bei den Softwareanbietern im Hinblick auf fachliche und technische Aspekte. Sie ist zu beziehen unter https://www.ppi.de/marktstudie_digital_banking_plattformen

#Gastbeitrag #PPIAG #DigitalBanking #APIs #RPA #SmartRobotic

Weiterlesen